Sanzioni per le violazioni

I tre livelli sanzionatori dell'EU AI Act

Il regolamento articola le sanzioni pecuniarie in tre livelli chiaramente definiti, in base alla gravità della violazione. Elemento chiave: si applica di norma il valore più elevato tra i due, ossia l'importo fisso massimo in euro o la percentuale del fatturato annuo mondiale. Per le PMI e le start-up si applica invece il valore inferiore come massimale (dettagli più avanti).

Chi commina le sanzioni?

L'applicazione dell'EU AI Act spetta alle autorità nazionali di vigilanza del mercato dei rispettivi Stati membri dell'UE. Ogni Stato membro designa una o più autorità competenti, che effettuano controlli, istruiscono reclami e possono comminare sanzioni in caso di violazione.

A livello europeo, l'Ufficio europeo per l'IA (European AI Office) coordina la supervisione sui modelli GPAI e garantisce un'applicazione uniforme del regolamento oltre i confini nazionali. Le aziende che operano in più Stati membri possono essere sottoposte a controlli da parte di autorità di diversi paesi. Il quadro giuridico è quello dell'EU AI Act.

Regola speciale per le PMI e le start-up

Le piccole e medie imprese e le start-up godono nell'EU AI Act di una protezione speciale contro sanzioni sproporzionatamente elevate: nel calcolo della sanzione si applica per loro il valore inferiore dei due (importo fisso o percentuale del fatturato annuo mondiale) come massimale, mentre per le grandi aziende fa fede il valore più elevato.

In pratica: una start-up con un fatturato ridotto paga, per una violazione di livello 2, al massimo la percentuale del proprio fatturato, purché questa sia inferiore a 15 milioni €, e non l'importo massimo indistintamente. Questa clausola di protezione non esime tuttavia le PMI dagli obblighi stessi. In particolare, l'obbligo di competenza in IA ai sensi dell'articolo 4 si applica a chiunque utilizzi l'IA professionalmente, indipendentemente dalle dimensioni aziendali.

Da quando si rischia una sanzione?

Le disposizioni sanzionatorie dell'EU AI Act non entrano tutte in vigore contemporaneamente. Il calendario è determinante per capire quali sanzioni possono essere effettivamente comminate e da quando:

• Dal 2 febbraio 2025: i divieti ai sensi dell'articolo 5 (pratiche di IA vietate) e l'obbligo di competenza in IA ai sensi dell'articolo 4 sono applicabili, e con essi le fattispecie sanzionatorie dei livelli 1 e 2 per questi ambiti. Chi non ha ancora agito si trova già su un terreno sanzionabile.
• Dal 2 agosto 2025: le disposizioni sanzionatorie generali sono pienamente applicabili, per le violazioni di tutti gli altri obblighi di fornitori e deployer, inclusi i requisiti per i modelli GPAI con finalità generali.
• Dal 2 agosto 2026: gli obblighi estesi per i sistemi di IA ad alto rischio diventano applicabili, consentendo così la comminazione di sanzioni anche per le violazioni in questo ambito.

Tutte le date, le disposizioni transitorie e le eccezioni sono illustrate in dettaglio nella pagina delle scadenze.

Come le aziende evitano le sanzioni

La migliore protezione contro le sanzioni è la conformità dimostrabile — non solo il semplice rispetto degli obblighi, ma la sua documentazione provata nei confronti delle autorità. Chi non riesce a presentare prove durante un controllo rischia sanzioni anche se in realtà si comporta in modo conforme.

• Garantire la competenza in IA ai sensi dell'articolo 4: i dipendenti che usano l'IA devono disporre di conoscenze adeguate sul funzionamento, i rischi e i limiti dei sistemi di IA utilizzati. Ciò vale per i deployer di qualsiasi dimensione, dal lavoratore autonomo al grande gruppo.
• Documentare le formazioni con certificazione: una formazione sull'EU AI Act con audit trail automatico dimostra alle autorità che l'azienda ha agito attivamente e in modo provato con la dovuta diligenza. Questa prova ha effetto attenuante nella determinazione della sanzione.
• Inventariare l'uso dell'IA: create un quadro completo di quali sistemi di IA vengono utilizzati in quali processi e a quale classe di rischio appartengono. Solo chi sa cosa usa può agire in modo conforme.
• Tenere d'occhio le scadenze: agite per tempo prima delle date chiave indicate nella pagina delle scadenze, in particolare il 2 agosto 2025 e il 2 agosto 2026.

Domande frequenti

Le sanzioni possono essere comminate anche per piccole violazioni?

Non ogni violazione comporta automaticamente la sanzione massima. L'entità dipende da gravità, durata e intenzionalità della violazione, nonché dalla cooperazione dell'azienda e dalle misure adottate. Tuttavia, anche le violazioni apparentemente minori — come la mancanza di documentazione della competenza in IA ai sensi dell'articolo 4 — non dovrebbero essere sottovalutate. Ulteriori risposte su obblighi ed eccezioni si trovano nella nostra pagina FAQ.

La sanzione riguarda il singolo dipendente o l'azienda?

Le sanzioni si rivolgono all'azienda nel suo insieme, non ai singoli dipendenti. Per la quota di fatturato fa fede il fatturato complessivo mondiale dell'azienda o del gruppo — non quello di una singola sede o di una controllata. Questo rende i massimali percentuali particolarmente significativi per le aziende internazionali e sottolinea l'importanza di una formazione sistematica e capillare dei dipendenti. Il quadro giuridico completo è illustrato nella pagina EU AI Act: panoramica.

Forma il tuo team Obbligo di competenza in IA

Nota: questa panoramica è a scopo informativo e non costituisce consulenza legale.